Apple, CoreGraphics'teki sıfır gün açığını düzeltti

Apple, iOS cihazlarında "son derece sofistike" hedefli saldırılarda kullanılan bir sıfır gün açığını düzeltmek için güvenlik güncellemeleri yayınladı. CVE-2026-86950 olarak takip edilen bu açık, CoreGraphics'te bulunan bir sınır aşımı yazma zayıflığından kaynaklanıyor. CoreGraphics, iOS, macOS, iPadOS, watchOS ve tvOS üzerinde iki boyutlu vektör grafikleri, görüntü işleme ve metin çizimi için kullanılan bir çerçevedir.

Sınır aşımı yazma zayıflıklarının başarılı bir şekilde kullanılması, saldırganların bir programı çökertmesine, verileri bozmasına veya en kötü senaryoda uzaktan kod çalıştırmasına olanak tanıyabilir. Apple, bu sorunun, iOS 27'den önceki sürümlerde belirli hedeflenmiş bireylere karşı son derece sofistike bir saldırıda kullanılabileceği konusunda bir rapor aldığını bildirdi.

Zarar görebilecek cihazlar listesi oldukça geniştir; iPhone 11 ve sonrası, iPad Pro 12.9 inç 3. nesil ve sonrası, iPad Pro 11 inç 1. nesil ve sonrası, iPad Air 3. nesil ve sonrası, iPad 8. nesil ve sonrası ile iPad mini 5. nesil ve sonrası gibi modelleri kapsamaktadır. Ayrıca, macOS Sequoia 15.8.1 ve Tahoe 26.7.1 üzerinde çalışan Mac'ler de etkilenmektedir.

Apple, bu sorunu, iOS 26.7.1 ve iPadOS 26.7.1, macOS Tahoe 26.7.1 ve macOS Sequoia 15.8.1'de iyileştirilmiş sınır kontrolü ile çözmüştür. Bu açığın yalnızca son derece hedeflenmiş saldırılarda kullanılması muhtemel olsa da, potansiyel devam eden saldırıları önlemek için bu güvenlik güncellemelerinin derhal yüklenmesi şiddetle tavsiye edilmektedir.

Bu yılın başından beri Apple, sahada istismar edilen iki sıfır gün açığını düzeltmiştir. Diğer açığın, Apple işletim sistemleri tarafından kullanılan Dinamik Bağlantı Editörü dyld'deki (CVE-2026-20700) bir uzaktan kod çalıştırma zayıflığı olduğu ve yine son derece sofistike hedefli saldırılarda kullanıldığı bildirilmiştir. Bu açık, Şubat ayında kapatılmıştır. Ayrıca, bu yılın başlarında, saldırganların Bluetooth menzilinde kullanıcıların konuşmalarını dinlemesine olanak tanıyan yüksek şiddetli bir Beats Studio Buds açığı (CVE-2025-20701) ile siber casusluk ve kripto hırsızlık saldırılarında hedeflenen dört açığı da düzeltmiştir.

Sonuç olarak, Apple'ın sıfır gün açıklarını hızlı bir şekilde kapatması, kullanıcıların güvenliğini artırmak için önemli bir adım olarak değerlendirilmektedir. Kullanıcıların, bu güncellemeleri yükleyerek cihazlarını korumaları önerilmektedir.